Швидка відповідь: AVV (Auftragsverarbeitungsvertrag) та DPA (Data Processing Agreement) відносяться до однієї й тієї ж юридично обов'язкової угоди відповідно до статті 28 GDPR; німецький термін AVV використовується в юрисдикціях регіону DACH, тоді як DPA є англомовним еквівалентом, що використовується в більшості інших держав-членів ЄС та міжнародно. Обидва регулюють, як обробник даних обробляє особисті дані від імені контролера. Вибір неправильного формулювання або повне ігнорування угоди може піддати вашу організацію значним регуляторним штрафам.
Основні висновки
- AVV — це німецька абревіатура для Auftragsverarbeitungsvertrag; DPA означає Data Processing Agreement, вони функціонально є одним і тим же інструментом відповідно до GDPR.
- Обидві угоди є обов'язковими відповідно до статті 28 GDPR, коли контролер залучає обробника для обробки особистих даних.
- Різниця в термінології є регіональною: AVV є стандартом у Німеччині, Австрії та Швейцарії; DPA використовується в англомовних та більшості інших контекстах ЄС.
- Дійсна угода повинна охоплювати предмет, тривалість обробки, категорії даних, права суб'єктів даних, умови для субобробників, заходи безпеки та положення про аудит. [1]
- Відсутність правильної угоди може призвести до розслідувань з боку наглядових органів, штрафів та суперечок за контрактом.
- Вартість впровадження коливається від нуля (використання стандартного шаблону постачальника) до кількох тисяч євро за індивідуальне юридичне оформлення.
- Деякі компанії, що працюють на ринках DACH та не-DACH, законно використовують обидва терміни в одній угоді для ясності.
- Платформа управління згодою, така як Biscotti CMP, може підтримати вашу ширшу відповідність GDPR, але не замінює належним чином виконану AVV або DPA.
Що таке AVV у захисті даних, і чи є це те ж саме, що DPA?
AVV означає Auftragsverarbeitungsvertrag, німецький термін для угоди про обробку даних. У практичних юридичних термінах AVV та DPA є одним і тим же документом, обидва задовольняють вимогу, викладену в статті 28 GDPR, про письмову угоду між контролером даних та обробником даних. [1]
Відмінність є чисто лінгвістичною та юрисдикційною. Німецькі, австрійські та швейцарські фахівці з захисту даних використовують AVV як стандартний термін в контрактах, політиках конфіденційності та регуляторній кореспонденції. Англомовні фахівці та більшість інших держав-членів ЄС використовують DPA. Коли німецький постачальник SaaS пропонує вам "AVV", він пропонує той же юридичний інструмент, який постачальник з Великобританії назвав би "DPA".
Ключове уточнення: Жоден з термінів не передбачає іншого юридичного стандарту. Обидва повинні відповідати однаковим вимогам змісту статті 28(3) GDPR, щоб бути дійсними. [1]
У чому різниця між AVV та DPA?
Різниця між AVV та DPA є термінологічною, а не змістовною. Обидва описують контракт, передбачений статтею 28 GDPR між контролером даних (суб'єктом, який визначає мету та засоби обробки) та обробником даних (суб'єктом, який обробляє дані від імені контролера).
Дійсні відмінності можуть виникнути в стилі оформлення та місцевих регуляторних рекомендаціях:
- Німецькі наглядові органи (Datenschutzbehörden) опублікували специфічні шаблонні положення та рекомендації, які часто включаються в документи AVV.
- Англомовні DPA, оформлені для юрисдикцій Великобританії або Ірландії, можуть посилатися на національне законодавство, що реалізує GDPR.
- Швейцарські AVV також повинні враховувати переглянутий Федеральний закон про захист даних (revFADP), який у певних аспектах відрізняється від GDPR.
Підсумок: Якщо постачальник надсилає вам AVV, а вам потрібен DPA, ви отримали те, що вам потрібно, за умови, що зміст відповідає вимогам статті 28(3). [1]
Коли вам потрібен AVV, а коли DPA?
Вам потрібна одна з цих угод щоразу, коли ваша організація ділиться особистими даними з третьою стороною, яка обробляє ці дані за вашими вказівками. Триггером є відносини контролера та обробника, а не мова контракту.
Використовуйте AVV, коли:
- Ваш контрагент базується в Німеччині, Австрії або Швейцарії, і їх стандартний контракт використовує цю термінологію.
- Ваша організація працює відповідно до німецького законодавства про захист даних, і ваші внутрішні шаблони слідують рекомендаціям BfDI або державного DPA.
Використовуйте DPA, коли:
- Ваш контрагент працює в англомовній юрисдикції або використовує англійську як мову контракту.
- Ви укладаєте контракт з постачальником хмарних послуг, що базується в США, постачальником SaaS з Великобританії або будь-яким міжнародним обробником, чиї шаблони за замовчуванням є "DPA".
Поширена помилка: Припущення, що, оскільки постачальник називає свій документ AVV, а не DPA, застосовуються різні юридичні правила. Вимоги до змісту ідентичні відповідно до GDPR. Важливим є зміст, а не етикетка на обкладинці.
Хто потребує AVV, а хто DPA?
Будь-яка організація, яка кваліфікується як контролер даних відповідно до GDPR і залучає третю сторону для обробки особистих даних від свого імені, потребує однієї з цих угод. Це стосується:
- Бізнесу електронної комерції, що використовує сторонні платіжні процесори або платформи електронного маркетингу.
- Підприємств, що використовують постачальників хмарної інфраструктури (IaaS, PaaS, SaaS).
- Агентств онлайн-маркетингу, що обробляють дані клієнтів.
- Розробників, які створюють програми, що обробляють особисті дані кінцевих користувачів через зовнішні API.
- Власників веб-сайтів, які використовують аналітичні інструменти, CDN або CRM-системи, що обробляють дані відвідувачів.
Організації, що базуються на ринках DACH, зазвичай зустрічають термін AVV; ті, що працюють міжнародно, частіше мають справу з DPA. Обидві категорії організацій стикаються з однаковими юридичними зобов'язаннями.
Що має бути включено в AVV та DPA?
Як AVV, так і DPA повинні містити однакові обов'язкові елементи відповідно до статті 28(3) GDPR. Відсутність будь-якого з цих положень робить угоду невідповідною. [1]
| Обов'язковий пункт | Опис |
|---|---|
| Предмет та тривалість | Які дані обробляються і протягом якого часу |
| Природа та мета | Чому і як відбувається обробка |
| Типи даних та суб'єкти даних | Категорії особистих даних та задіяні особи |
| Права та обов'язки контролера | Інструкції, яких повинен дотримуватися обробник |
| Заходи безпеки | Технічні та організаційні заходи безпеки (TOMs) |
| Умови для субобробників | Правила для залучення наступних обробників |
| Допомога у правах суб'єктів даних | Підтримка запитів на доступ, видалення, портативність |
| Повідомлення про порушення | Обов'язок обробника повідомити контролера про інциденти |
| Повернення або видалення даних | Що відбувається з даними в кінці контракту |
| Права на аудит | Право контролера перевіряти відповідність |
Крайній випадок: Якщо шаблон постачальника не містить прав на аудит або умов для субобробників, не підписуйте його в такому вигляді. Ці положення є невід'ємними відповідно до статті 28(3). [1]
Скільки коштує налаштування AVV або DPA?
Вартість повністю залежить від того, чи використовуєте ви стандартний шаблон постачальника, чи замовляєте індивідуальне юридичне оформлення.
- Шаблон, наданий постачальником (найпоширеніший): Безкоштовно. Більшість великих постачальників SaaS та хмарних послуг публікують стандартний AVV або DPA, який контролери можуть прийняти онлайн або через процес натискання.
- Переговорена індивідуальна угода: Юридичні витрати зазвичай коливаються від 500 до 5000 євро в залежності від складності, юрисдикції та ставок юристів. Корпоративні контракти з значними обсягами даних або чутливими категоріями даних перебувають на вищому кінці.
- Розробка внутрішнього шаблону: Одноразові витрати на час юриста для створення повторно використовуваного шаблону; постійні витрати є мінімальними.
Практична примітка: Для більшості МСП та власників веб-сайтів стандартний шаблон постачальника є достатнім. Індивідуальні переговори виправдані, коли обробка включає дані особливих категорій (здоров'я, біометричні, фінансові) або коли контролер несе значну відповідальність.
Як вимоги AVV та DPA відрізняються в різних країнах?
Відповідно до GDPR, змістовні вимоги гармонізовані в усіх державах-членах ЄС, тому основний зміст AVV та DPA є ідентичним, незалежно від того, чи ви в Берліні, Парижі чи Варшаві. Однак існують національні нюанси:
- Німеччина: BfDI та державні DPA опублікували детальні рекомендації та модельні положення. Німецькі AVV часто містять більш детальну документацію технічних та організаційних заходів (TOMs).
- Швейцарія: revFADP (вступає в силу з вересня 2023 року) накладає додаткові вимоги, що перевищують GDPR, включаючи специфічні положення для трансферу даних через кордон та терміни повідомлення про порушення даних.
- Великобританія (після Brexit): Застосовується UK GDPR; DPA повинні посилатися на рекомендації UK ICO, а не на наглядові органи ЄС. Стандартні контрактні положення відрізняються від SCC ЄС.
- Інші держави-члени ЄС: Стаття 28 GDPR застосовується безпосередньо; місцеві рекомендації DPA можуть доповнювати, але не можуть зменшувати мінімальні вимоги.
Обирайте положення про застосовне право обережно. AVV за німецьким правом та DPA за ірландським правом можуть виглядати схоже, але їх тлумачення буде різним у різних судах та наглядових органах.
Чи можна використовувати AVV замість DPA або використовувати обидва одночасно?
Так, AVV може замінити DPA, оскільки вони є юридично еквівалентними інструментами. Компанія, що працює на ринках DACH та не-DACH, може включити обидва терміни в один і той же заголовок контракту (наприклад, "Угода про обробку даних / Auftragsverarbeitungsvertrag"), щоб уникнути плутанини; це звичайна практика в двомовних корпоративних контрактах і абсолютно допустимо.
Використання обох етикеток одночасно не створює двох окремих юридичних зобов'язань. Це просто забезпечує, що німецькомовні та англомовні сторони розуміють, що вони дивляться на один і той же документ.
Які поширені помилки при виборі між AVV та DPA?
Найбільш наслідкові помилки не стосуються того, який термін ви використовуєте, а стосуються того, що містить угода і чи існує вона взагалі.
- Пропуск угоди зовсім через те, що відносини з постачальником здаються неформальними або низькоризиковими. Відповідно до GDPR, зобов'язання виникає внаслідок акту обробки, а не через сприйнятий рівень ризику.
- Прийняття неповного шаблону, що пропускає положення для субобробників або права на аудит, вважаючи, що версія постачальника автоматично є відповідною.
- Змішування DPA з угодою про обмін даними. DPA регулює відносини обробника; угода про обмін даними регулює обміни даними між спільними контролерами або контролером і контролером. Це різні інструменти.
- Невиконання оновлення угод, коли обробник залучає нових субобробників або змінює характер обробки.
- Припущення, що відповідність GDPR охоплює швейцарське законодавство. Організації з швейцарськими суб'єктами даних повинні переконатися, що їх AVV також відповідає вимогам revFADP.
Які юридичні наслідки неправильного вибору AVV або DPA?
Відсутність дійсної, повної угоди піддає як контролерів, так і обробників регуляторній та цивільній відповідальності.
Відповідно до статті 83(4) GDPR, порушення статті 28 (вимога DPA/AVV) може призвести до адміністративних штрафів до 10 мільйонів євро або 2% від світового річного обороту, залежно від того, що більше. Наглядові органи в Німеччині продемонстрували готовність розслідувати та накладати штрафи на організації за відсутність або недоліки в угодах про обробку.
Крім штрафів, наслідки включають:
- Аудити з боку наглядових органів та коригувальні накази.
- Неможливість примусити виконати контрактні умови проти непідконтрольного обробника.
- Цивільна відповідальність у разі, якщо відбудеться порушення даних без дійсної угоди, що документує зобов'язання щодо безпеки.
- Репутаційні збитки в контексті B2B, де підприємства-клієнти проводять перевірку постачальників.
Як дізнатися, яка угода насправді потрібна вашому бізнесу?
Рішення є простим, як тільки ви визначите відносини та юрисдикцію.
Крок 1: Визначте, чи є ваша організація контролером (ви вирішуєте, чому та як обробляються дані) чи обробником (ви обробляєте дані за вказівками когось іншого).
Крок 2: Визначте мову та юрисдикцію вашого контрагента. Якщо вони знаходяться в регіоні DACH, очікуйте AVV. Якщо вони в іншому місці, очікуйте DPA.
Крок 3: Перевірте, що документ, який ви отримали, містить усі десять обов'язкових елементів відповідно до статті 28(3) GDPR. [1]
Крок 4: Якщо вашій організації також потрібно керувати згодою користувачів на файли cookie та технології відстеження, платформа управління згодою, така як Biscotti CMP, вирішує це питання відповідності GDPR, але вона працює поряд, а не замість належним чином виконаної AVV або DPA.
Правило рішення: Якщо ви обробляєте особисті дані від імені іншої організації, вам потрібен DPA або AVV, незалежно від того, як комерційно називається відносини. Якщо інша організація обробляє дані від вашого імені, ви несете відповідальність за забезпечення наявності цієї угоди перед початком обробки.
Питання та відповіді
Q: Чи є AVV юридично дійсним за межами Німеччини?
AVV є юридично дійсним скрізь, де застосовується GDPR, за умови, що він відповідає вимогам змісту статті 28(3). Німецька термінологія не обмежує його виконуваність в інших юрисдикціях ЄС.
Q: Чи потрібно, щоб DPA підписали обидві сторони?
Так. Стаття 28(9) GDPR вимагає, щоб угода була в письмовій формі, що включає електронну форму. І контролер, і обробник повинні бути зв'язані її умовами.
Q: Чи може онлайн DPA постачальника, що приймається натисканням кнопки, відповідати вимогам GDPR?
Так, якщо зміст відповідає вимогам статті 28(3). Багато великих постачальників хмарних послуг пропонують відповідні DPA, які були перевірені наглядовими органами.
Q: Що таке субобробник і чому це важливо в DPA або AVV?
Субобробник — це третя сторона, залучена обробником для виконання обробних дій. DPA або AVV повинні вказувати умови, за яких можуть бути залучені субобробники, включаючи право контролера заперечувати. [1]
Q: Чи потрібно мені новий AVV або DPA щоразу, коли обробник оновлює свій список субобробників?
Не обов'язково. Багато угод містять загальне уповноваження на зміни субобробників, за умови, що обробник повідомляє контролера, а контролер зберігає право заперечувати протягом визначеного періоду.
Q: Чи охоплює DPA передачу даних за межі ЄС?
DPA регулює відносини обробки, але сама по собі не уповноважує трансфер даних через кордон. Для передачі в треті країни потрібні окремі механізми передачі (стандартні контрактні положення, рішення про адекватність).
Q: Як довго слід зберігати DPA або AVV?
Зберігайте угоду протягом усього терміну відносин з обробки та протягом розумного періоду після цього, зазвичай не менше трьох-п'яти років, щоб продемонструвати відповідність у разі запиту наглядового органу.
Q: У чому різниця між DPA та DPIA?
DPA (угода про обробку даних) — це контракт між контролером і обробником. DPIA (оцінка впливу на захист даних) — це внутрішня оцінка ризиків, що вимагається для обробки високого ризику. Вони виконують різні функції, і жоден з них не замінює інший.
Q: Чи може фрілансер або маленьке агентство бути зобов'язане підписати AVV або DPA?
Так. Зобов'язання застосовується незалежно від розміру обробника. Фрілансер, що обробляє дані клієнтів, є обробником і повинен підписати DPA або AVV з кожним клієнтом-контролером.
Q: Чи замінює Biscotti CMP потребу в DPA або AVV?
Ні. Biscotti CMP — це платформа управління згодою, яка допомагає управляти згодою користувачів на файли cookie та відстеження, окреме зобов'язання відповідності GDPR. DPA або AVV все ще потрібні для будь-яких відносин з обробником, що включають особисті дані.
Висновок
Питання AVV проти DPA швидко вирішується, як тільки ви усвідомлюєте, що обидва терміни описують один і той же юридично обов'язковий інструмент відповідно до статті 28 GDPR. Справжнім викликом є не вибір між ними, а забезпечення того, щоб будь-який документ, що регулює ваші відносини з обробниками, містив усі обов'язкові положення, був належним чином виконаний і залишався актуальним у міру розвитку обробних дій.
Дії, які потрібно вжити:
- Проведіть аудит усіх поточних відносин з постачальниками, щоб підтвердити наявність дійсного DPA або AVV для кожного обробника, що обробляє особисті дані від вашого імені.
- Перегляньте існуючі угоди на відповідність десяти обов'язковим елементам статті 28(3) GDPR та запитайте про внесення змін у разі виявлення прогалин. [1]
- Якщо ви працюєте в Швейцарії, перевірте, що угоди також відповідають вимогам revFADP, що перевищують базові вимоги GDPR.
- Встановіть внутрішній процес для залучення нових обробників, жодна обробка не повинна починатися до підписання угоди.
- Для управління згодою та відповідності файлам cookie на вашому веб-сайті або в додатку оцініть Biscotti CMP як частину вашої ширшої структури відповідності GDPR.
Відповідність захисту даних не є одноразовим проектом. Угоди потрібно переглядати, коли змінюється обробка, коли додаються субобробники та коли еволюціонує регуляторна практика. Включення цього циклу перегляду у вашу програму відповідності є найпрактичнішим захистом від регуляторного ризику.
Посилання
[1] Угода про обробку даних - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai